Focus op Security Governance:

Transcriptie

1 Focus op Security Governance: Privileged Account Management Security Information & Event Management Bob Lannoy Kristof Verslype Onderzoek Maart 2012 Agenda Context & trends Information Security Governance Privileged Account Management Security Information & Event Management 2

2 Context 3 Beveiligingsincidenten Statistieken (1/4) 82% 18% Verizon data breach report

3 Beveiligingsincidenten Statistieken (2/4) 92% grote bedrijven (+20%) - Gemiddeld 45 inbreuken (+30) - Gemiddeld ergste incident 83% kleine bedrijven (+38%) - Gemiddeld 14 inbreuken (+6) - Gemiddeld ergste incident Information Security Breaches Survey Beveiligingsincidenten Statistieken (3/4) Virus 62% (+41%) Inbraak 15% (+2%) Denial of Service 25% (+14%) Verlies/diefstal data via personeel 46% Information Security Breaches Survey

4 Information security trends (1/3) Professionelere aanvallers Complexere aanvallen Evoluties Beveiliging Complexere IT infrastructuur Dynamischer IT infrastructuur 7 Information security trends (2/3) The financial impact caused by successful cyberattacks by hackers and cybercriminals will not begin to decline until (29 november 2011) 8

5 Information security trends (3/3) Reguleringen Sarbanes-Oxley, Hipaa, PCI DSS,... Meer in USA, minder in EU Bedrijfspolicies Eigen security Outsourcing Klanten Standaarden (ISO 27001, ) 9 Agenda Context & trends Information Security Governance Privileged Account Management Security Information & Event Management 10

6 Information Security Governance Aanpak (1/2) Information Security Governance & Management Beleid / Processen Implementatie / Tools 11 Information Security Governance Aanpak (2/2) Preventie Ontradend Informerend Detectie Fysiek Virtueel Verhindering Fysiek Virtueel Reactie Bestraffend Technisch PAM, SIEM SIEM PAM SIEM 12

7 Information Security Governance Technische veiligheidsmaatregelen (1/4) Beheer van gebruikers & rechten Provisioning / deprovisioning Entitlements (access) Geprivilegieerde accounts 13 Information Security Governance Technische veiligheidsmaatregelen (2/4) Bescherming van data Encryptie / data masking Digital Rights Management 14 Bob Lannoy & Kristof Verslype - Onderzoek (Endpoint) Data Loss Prevention

8 Information Security Governance Technische veiligheidsmaatregelen (3/4) Bescherming van transport Beveiligde verbindingen U2A, A2A NAC 15 Information Security Governance Technische veiligheidsmaatregelen (4/4) Monitoring & alerting Logging Database Activity Monitoring Intrusion Detection Security Information & Event Monitoring (SIEM) 16

9 Agenda Context & trends Information Security Governance Privileged Account Management Wat is het? Aanpak Software & demo's Niet-toolgebonden aspecten Conclusies Security Information & Event Management 17 Insider Threat (1/2) Doelbewust Al dan niet uitgebreide toegangsrechten Hacking technieken (privilege escalation) Toegang tot gevoelige data/systemen Onbewust Gewone gebruikers met (teveel) rechten Gevoelige gegevens meenemen/verliezen (Doel van hack-aanval) 18

10 Insider Threat (2/2) Insider threat ~ 20 à 40 % incidenten 10 à 20% doelbewust ~ 5% Impact omgekeerd evenredig 19 Wat is "Privileged account management"? 20

11 Wat is "Privileged account management"? Termen & acroniemen Privileged Access Account Identity User Management PAM PIM PUM Super User Privilege Management SUPM Application to Application Password Management AAPM Shared-Account/Software-Account Password Management SAPM Privileged Account Activity Management PAAM 21 Wat is "Privileged account management"? Termen & acroniemen Privileged Account Shared-Account/Software Account Application to Application Activity 22

12 Wat is "Privileged account management"? Privileged account / Shared-account Gewone account Gebruiker met eigen credentials (uid/pw, eid/pin, ) Gebonden aan gebruiker Gebruiker is verantwoordelijk Privileged account / Shared-account Account met hogere rechten Niet gebonden aan gebruiker Gedeeld met verschillende gebruikers Beheeraccounts software/hardware 23 Wat is "Privileged account management"? Privileged account / Shared-account Voorbeelden OS: Administrator (Windows), root (Linux) DB : SYS / SYSTEM (Oracle), Virtualisatiesoftware console Netwerk toestellen Service accounts, 24

13 Wat is "Privileged account management"? Application to Application Wachtwoorden in applicaties Toegang tot database Communicatie tussen toepassingen Opslag wachtwoord Embedded Configuratiebestand Toepassing DB 25 Wat is "Privileged account management"? Activity Logging van activiteit van gebruiker Wie / waar / wanneer Session logging Ondersteuning voor audit / compliance 26

14 Wat is "Privileged account management"? Probleem (1/2) Default accounts met vast wachtwoord Gedeeld groep gebruikers Hoe wordt het gedeeld? Veiligheid/bescherming van wachtwoord Complexiteit, vernieuwing na x tijd, Operaties met die account wie was het? Mensen die bedrijf verlaten, wachtwoord veranderd? Gebruik van virtualisatie of private cloud, vergroot mogelijke schade 27 Wat is "Privileged account management"? Probleem (2/2) Risico s Verlies van confidentiële gegevens Serviceonderbrekingen Imagoschade 28

15 Agenda Context & trends Information Security Governance Privileged Account Management Wat is het? Aanpak Software & demo's Niet-toolgebonden aspecten Conclusies Security Information & Event Management 29 Aanpak Stappen / maturiteit PAM geïntegreerd in groter geheel Gebruik van PAM-software Gebruik van specifieke tools zoals sudo of scripts Policy om wachtwoorden regelmatig te wijzigen Toegang tot credentials beschermd Wachtwoord / beheerd systeem Overal hetzelfde wachtwoord 30

16 Aanpak Principes Gewone account Tijdelijke verhoging van rechten Administrator Administratie account naast gewone account One-time passwords Toegang tot shared account in noodsituaties 31 Agenda Context & trends Information Security Governance Privileged Account Management Wat is het? Aanpak Software & demo's Niet-toolgebonden aspecten Conclusies Security Information & Event Management 32

17 Aanpak Software Privilege elevation in OS Sudo (Linux), Runas (Windows) Role based Access Control (Solaris) Specifieke softwarepakketten (Windows, Linux) 33 DEMO - Sudo Privilege elevation: "sudo <commando>" Configuratie in "sudoers" bestand Configuratie is niet zonder gevaren Centralisatie configuratie mogelijk (LDAP) I/O logging (sedert 1.7.3) Plugin architectuur (sedert 1.8), met bijvoorbeeld plugin van Quest Privilege manager for sudo 34

18 Aanpak Software 35 Software Werkingsprincipe 2 1 Systeem A Systeem C PAM Software 3 4 Systeem A Systeem B Systeem C Wachtwoorden 1 Aanmelden 2 Doelsysteem kiezen 3 Sessie op systeem 4 Wijziging wachtwoord 36

19 Software Eigenschappen Centrale wachtwoord database ~ Agent-less Connectoren Productspecifieke connectoren SSH, Telnet HTTP(S) ODBC Robuust & veilig Appliance of software Encryptie Disaster recovery High availability 37 Software Eigenschappen Discovery Beheer PW Identificeren van privileged accounts Via AD, DNS, portscan, CMDB, Automatisch wijzigen (policy) Coördinatie / orchestratie Consistentie controle Toegangscontrole Gebruikersinformatie Context Workflow 38

20 Software Eigenschappen Wachtwoorden gebruiker Wachtwoorden toepassing Tonen Copy/paste buffer Sessie openen Privilege elevation PAM API Authenticatie!! Rapportering/logging Algemene logging Session recording Rapport Integratie ticket-systeem (ITIL) 39 Server Server Topologie Server PAM Proxy Wachtwoord Beheer Intern Netwerk DMZ Web interface PAM Proxy Server Wachtwoord Database Wachtwoord Beheer Server Server 40

21 DEMO - PAM-tool Windows Unix Database 41 DEMO - toepassingen Server Weblogic Web app KS Certificaten Web app DS Data Source PAM PAM PAM 42

22 Software Vaststellingen (1/2) Redelijk vlot voor standaardsystemen Scripting voor tuning van command prompts Soms browserafhankelijk gedrag Topologie heeft invloed op implementatie firewall die (Windows) traffiek blokkeert Veranderend serverpark koppeling met tool nodig (API) Gelijktijdig gebruik zelfde gedeelde account 43 Software Vaststellingen (2/2) Integratie in applicaties complexiteit (API, deployments) geen wachtwoordbeheer meer in app Wachtwoord caches & wijzigingen Account lockout Tuning Huidige aanpak elk team (Windows, Unix, DB, ) verschillend PAM = project 44

23 Software Prijsmodellen / eindgebruiker Software / Softwareinstantie / Appliance Wachtwoorden / beheerd wachtwoord / beheerde server Session recording / server Concurrent sessions 45 Agenda Context & trends Information Security Governance Privileged Account Management Wat is het? Aanpak Software & demo's Niet-toolgebonden aspecten Conclusies Security Information & Event Management 46

24 Niet-toolgebonden aspecten Ken uw (nieuw) personeel Opleidingen: maak mensen bewust van risico's Segregation-of-duties: combinatie van taken geeft aanleiding tot risico Monitoring/logging naar extern systeem beheerd door andere personen 47 Agenda Context & trends Information Security Governance Privileged Account Management Wat is het? Aanpak Software & demo's Niet-toolgebonden aspecten Conclusies Security Information & Event Management 48

25 Conclusies (1/3) Beperk de risico's en neem beheer van privileged accounts in handen PAM deel van groter geheel Klassiek Identity/Access management Monitoring PAM 1 tool Beleid / policies / processen / technologie Segregation-of-duties Bewustmaking gebruikers Auditproces (gescheiden van IT) 49 Conclusies (2/3) Zonder PAM-tool Minimum : Wachtwoord / systeem Administrators shared accounts Gewone gebruikers: "sudo" Wachtwoordenlijst beveiligen Wachtwoorden veranderen Automatisatie/centralisatie beheer Logging / monitoring 50

26 Conclusies (3/3) Met PAM-tool Risico maximaal beperkt tot beheerder van tool Let op gewenste functionaliteit Impact van topologie/architectuur op kostprijs Gebruiksvriendelijkheid van oplossing Verhoging complexiteit <-> verhoging veiligheid Beschikbaarheid Risico <-> Kost 52

27 Agenda Context & trends Information Security Governance Privileged Account Management Security Information & Event Management Basisprincipes AlienVault ArcSight Managed SIEM Tot slot 53 Basisprincipes AlienVault Bob Lannoy & Kristof ArcSight Verslype - Onderzoek Managed SIEM Tot slot 54

28 Uitdaging Miljoenen logs, slechts enkele incidenten... Onmogelijk manueel 55 De essentie SIEM 1. Centrale logging 2. Real-time monitoring 3. Alerting 4. Analyse achteraf 56

29 Verwerkingsproces Verrijking Collectie Normalisatie Correlatie Prioritizatie Archivering Monitoring Real-time Achteraf Analyse 57 Verrijking Collectie Collectie Norma -lilsatie Correlatie Prioriti zatie Archive ring Monitoring Analyse Push Pull Configuratie SIEM Near real-time Geen garantie alle logs Flooding Ondersteunt SIEM de bron? Soms agent op device nodig Meestal push 58

30 Verrijking Normalisatie Collectie Norma -lilsatie Correlatie Prioriti zatie Archive ring Monitoring Analyse Normalisatie Log SIEM formaat Correlatie XML, comma-separated, Veld Syslog "timestamp", "time", Netflow Windows Event Logs Data Cisco logs "Mon, 19 Mar :38:11 GMT", , 59 Verrijking Correlatie Collectie Norma -lilsatie Correlatie Prioriti zatie Archive ring Monitoring Analyse Port scan Attacker Firewall IDS Application server Failed SSH auth. Failed SSH auth. Failed SSH auth. Failed SSH auth. Failed SSH auth. Successful SSH auth. Succesvolle SSH brute-force aanval Sudo install Reconnaissance t Ongoing intrusion attack from same IP 60

31 Verrijking Verrijking Collectie Norma -lilsatie Correlatie Prioriti zatie Archive ring Monitoring Analyse "Mar 20 08:44: sshd[263] Accepted pass for krive from port ssh2" Externe bronnen: DNS, user directories, Asset name: Zeus - group: database servers - location: SC User Extern location: Beijing, China - domain: kp.cn krive - name: Kristof Verslype - group: Onderzoek - role: jr. onderzoeker - since: 01/12/ Verrijking Prioritizatie Collectie Norma -lilsatie Correlatie Prioriti zatie Archive ring Monitoring Analyse Waarde asset Client computer Kritische server Idealiter CMDB Impact bij succes Toegang met beperkte privileges root access Onafhankelijk van waarde asset Waarschijnlijkheid op succes 2 gefaalde SSH toegangen gefaalde SSH toegangen 62

32 Verrijking Archivering Collectie Norma -lilsatie Correlatie Prioriti zatie Archive ring Monitoring Analyse Efficiëntie Integriteit Beschikbaarheid Confidentialiteit Archivering Bewijsbaarheid 63 Verrijking Monitoring Collectie Norma -lilsatie Correlatie Prioriti zatie Archive ring Monitoring Evalueren Analyse Kwetsbaarheden Verdachte activiteit Incidenten Dashboards Remote login Idealiter enkele high-priority events Alarm Dashboard , SMS, 64

33 Verrijking Analyse Collectie Norma -lilsatie Correlatie Prioriti zatie Archive ring Monitoring Analyse Middel Rapporten Queries Reden Kennis eigen security Forensisch onderzoek Compliancy 65 Evolutie SIEM 1.0: Perimeter Firewall IDS/IPS Application server SIEM 2.0: Interne netwerk Client computers Printers SIEM 3.0: users & data Hoger niveau SIEM 4.0: Business intelligence Bedrijfsprocessen Meer dan enkel security 66

34 Topologie Standaard Hiërarchisch Mesh - Taakverdeling - zelfde/andere vendor - Taakverdeling mogelijk - Complexer dan hiërarchisch 67 Beschikbare systemen 68

35 Smals onderzoek Vragen Basisprincipes AlienVault Bob Lannoy & Kristof ArcSight Verslype - Onderzoek Managed SIEM Tot slot 69 Componenten Web Interface Dashboards Open source Gratis SIEM Logger Correlaties Betalend Collector Normalisatie Selectie Prioritisering 1..* Sensor Luisteren netwerk 70

36 Bouwblokken Open source Integratie in AlienVault P0f NFSen/NFDump Inprotect 71 Correlaties (1/3) DoS Spoofing MAC address change Reconnaissance Traffic Torrent Command execution /etc/passwd access SSL tunnel Flooding Malware infection/activity 72

37 Correlaties (2/3) directive rule Persistent connections SSH successful authentication SSH failed authentication 100 SSH failed authentications SSH successful authentication 10 SSH failed authentications SSH successful authentication 1000 SSH failed authentications level 1 level 2 level 3 level 4 73 Correlaties (3/3) <directive id="500000" name="ssh Brute Force Attack Against DST_IP" priority="4"> <rule type="detector" name="ssh Authentication failure (10 times) reliability="2" occurrence="10" from="1:src_ip" port_from="any to="1:dst_ip" port_to="any time_out="40" plugin_id="4003" plugin_sid="1,2,3,4,5,6,9,10,12,13,14,15,16,20" sticky="true"/> </directive> Ook via GUI Standaard 92 directieven 74

38 Normalisatie (plugins) event_type=event regexp=(?p(\w{3}\s\w{3}\s\d{2}:\d{2}:\d{2}\s\w{4}) (\w{3}\s+\d{1,2}\s\ d{2}:\d{2}:\d{2}))(\] \s).*\s\[(?p(emerg alert crit error warn notice info debug))\] (\[client (?P\S+)\] )(?P.*) date={normalize_date($date)} plugin_sid={translate($type)} src_ip={$src} userdata1={$data} Ondersteuning 2395 bronnen Geen DAM, PAM, Geen GUI 75 Screenshots Overzicht Alarmen Kwetsbaarheden 76

39 77 78

40 79 Aandachtspunten Configuratie Setup Bronnen (syslog) Asset info Correlatieregels Plugins(normalisatie) Krachtige servers Normaliseren Correleren 80

41 In Smals Vragen Basisprincipes AlienVault Bob Lannoy & Kristof ArcSight Verslype - Onderzoek Managed SIEM Tot slot 81 Componenten (1/3) ESM IdentityView Monitoren gebruikers incl. shared & privileged accounts Correlaties, dashboards Logger Logger Optimalisatie langetermijn - Queries uitvoeren, - Genereren rapporten, Connector Connector Connector Normalisatie 82

42 Componenten (2/3) ESM IdentityView Monitoren gebruikers incl. shared & privileged accounts Correlaties, dashboards Connector Connector Connector Normalisatie 83 Componenten (3/3) Express Lightweight ArcSight 84

43 Screenshots Top-10 Events Actuele aanvallen Statistieken 85 ArcSight 86

44 87 88

45 89 Functionaliteit (1/2) Real-Time monitoring Aanpasbaar window (vb. 2u) Near-time -> 2 à 5 min. Reactie Triggeren zelf geschreven scripts Risico s! Backup Standaard enkel in zelfde ESM NAS kan 90

46 Functionaliteit (2/2) Asset management Import tool (kan beter) Momenteel nog veel manueel werk User management Toegangsrechten Gepersonaliseerde rapporten Gepersonaliseerde dashboards Filteren Device Connector, logger ESM Dashboard -> connector? -> ESM? -> Archief? -> user? 91 Kostenmodel Component Appliance Virtual appliance Software Hardware Aantal geactiveerde cores in appliance Eigen hardware Functionaliteit Detectie low-and-slow attacks Langetermijn Bron device Per device Zou meevallen in totale prijs 92

47 Ervaringen Meerwaarde Gesloten Typisch wat achterstand op markt Beperkte overhead < 5% netwerk Duur Query kan lang duren (zonder logger) Anti-forensics onmogelijk Beheer soms omslachtig Update SIEM devices evident 93 Basisprincipes AlienVault Bob Lannoy & Kristof ArcSight Verslype - Onderzoek Managed SIEM Tot slot 94

48 SIEM Investeringskosten SIEM Onderhoud Expertise SIEM 24/7/364 monitoring 95 Managed Siem MSSP (Managed Security Service provider) SIEM 96

49 Pro s & cons SIEM Expertise Outsourcen Security Minder onderhoud Grotere security intelligence Afhankelijkheid Internet Schaalbaarheid Escalatie naar andere bedrijven Beperktere functionaliteit 24/7/365 monitoring Beperktere HW/SW Beheers kosten? 97 Managed Security Services Company managed Quasi geen investeringskosten Comanaged Provider managed Bedrijf beheert eigen SIEM Provider beheert SIEM in bedrijf Logs -> provider Monitoring & escalatie door bedrijf Monitoring & escalatie door provider Monitoring & escalatie door provider Ondersteuning door provider [Provider beheert deel hardware] [Provider beheert deel hardware] Switch company managed kan 98

50 15/ Basisprincipes AlienVault Bob Lannoy & Kristof ArcSight Verslype - Onderzoek Managed SIEM Tot slot 100

51 Aandachtspunten Business Infrastructuur Uitrol & gebruik Incidence response plan Kennis infrastructuur Geen plug & Play Getrainde mensen Geen zwarte gaten Finetuning Business requirements Device klok synchronisatie Documenteer Draagvlak/ Betrokkenheid Langetermijn opslag Gefaseerde uitrol Onderhoud 101 Mogelijke evoluties Managed SIEM Integratie nieuwe technologie Betere Correlatie (analytics?) Mogelijke evoluties Business Intelligence Standaardisatie log formaat Hoger niveau 102

52 Te onthouden SIEM is een P R O J E C T Gratis kennismaking Eerste goede security AlienVault Goede voorbereiding Technisch / MENSEN Weinig intrusief Uitrol vergt tijd => maand Beperktere functionaliteit SIEM in productie: onderhoud Correlatieregels! 103 Literatuur 2011 Data Breach Investigations Report Verizon 2011 Security Information and Event Management (SIEM) Implementation Miller, Harris, Harper, VanDyke, Blask 10/2010 Security Information and Event Management: Business Benefits and Security, Governance and Assurance Perspectives ISACA 12/

53 Vragen Met dank aan Bart Maes Marc Vael Johan Costrop David Tillemans Michel Brouyère Smals Onderzoek 105 Referenties Publicaties Onderzoek "Authentification et signature digitale: concepts, techniques et applications internet", M. Laloy, 03/2001 "Gebruikers- en toegangsbeheer", B. Lannoy, 10/2005 "Beveiligde uitwisseling van gegevens", M. Laloy, 05/2007 "Desktop Single Sign-On / Enterprise Single Sign-On" B. Lannoy, 07/2007 "TrueCrypt v.5.1a - On-the-fly disk encryption software", P. Jorissen, 05/2008 "Bescherming van de interne gegevens", P. Jorissen, 02/2009 "La sécurisation des supports de données", T. Baignères, 05/2010 "Gestion des certificats digitaux et méthodes alternatives de chiffrement", J. Cathalo, 05/

54 Demo PAM Sudo commando

55 Sudo configuratie (sudoers) Sudo shell escaping & noexec

56 PAM tool web login Wachtwoord opties & tonen wachtwoord

57 Integratie lokale software (Tunnelier) (1/2) Integratie lokale software (Tunnelier) (2/2)

58 Workflow (1/2)

59 Account detailscherm Session recording

60 Session recording search/keystrokes/video Applicatie integratie

61 Applicatie integratie weblogic datasource (1/2) Applicatie integratie weblogic datasource (2/2)

62 Applicatie integratie Java API Applicatie integratie authentication

63 Wachtwoordbeheer via logon account